доступ

[Мамонт]

как открыть в хр доступ к документам другого пользователя???

[Tatyanka]

Не понятно... Другого пользователя этой же машины? А почему он закрыт? Или другому пользователю?... Как-то надо конкретизировать, не понятно...

[KDima]

как открыть в хр доступ к документам другого пользователя???

Зачем права если любая прога сможет их обойти?

Выход: Запустить прогу под правами админа.

[d3drm]

как открыть в хр доступ к документам другого пользователя???

видно мамонт под format C:\ зашифровался. напиши толком что у тебя произошло и что ты хочешь, а то и вправду непонятно получается.

[vvs_adm]

Зачем права если любая прога сможет их обойти?

Выход: Запустить прогу под правами админа.

А разве запустить прогу под правами админа проще, чем открыть доступ к документам другого пользователя

[Ronin]

А разве админ не имеет прав доступа ко всем без исключения папкам пользователей? А если ты не админ, то как запустить прогу с правами админа?

[alibek]

Нет, админ не имеет.
Право доступа в обход любых разрешений имеет владелец объекта (вернее, он может переназначить разрешения). Но админ имеет право становиться владельцем любого объекта.

[Ronin]

Нет, админ не имеет.
Право доступа в обход любых разрешений имеет владелец объекта (вернее, он может переназначить разрешения). Но админ имеет право становиться владельцем любого объекта.

Так значит посути админ - имеет все права

[tyomitch]

Емнип админ имеет право открыть себе доступ к любому объекту... Или при этом он и становится его владельцем?

[Ronin]

Админ на все имеет право. Выше админа никого нету

[vvs_adm]

Емнип админ имеет право открыть себе доступ к любому объекту... Или при этом он и становится его владельцем?

Админ имеет право открыть себе доступ к любому объекту, но сначала он должен стать его владельцем

[Ronin]

Ну он может стать владельцом любого обьекта!

[alibek]

Во-первых, это можно запретить локальными политиками.
Во-вторых, смысл у этого есть и он простой - админ не может получить доступ к объекту так, чтобы это не заметил настоящий владелец объекта.

[Ronin]

Во-первых, это можно запретить локальными политиками.
Во-вторых, смысл у этого есть и он простой - админ не может получить доступ к объекту так, чтобы это не заметил настоящий владелец объекта.

Вопрос исчерпан (мой)

[vvs_adm]

Что то я не понял, что можно запретить локальными политиками? Возможность сменить владельца? А как тогда запретить админу сменить локальные политики?

[alibek]

Что ты не понял?
Локальные политики локальный админ сменить может. А вот глобальные уже не может. А глобальные может задавать домен-админ.

[vvs_adm]

Ну он может стать владельцом любого обьекта!

Во-первых, это можно запретить локальными политиками.

Я не понял, как "Во-первых, это можно запретить локальными политиками" помешает мне стать владельцем объекта, изменив эти локальные политики, что равносильно на самом деле Во-вторых, это нельзя запретить локальными политиками.

[alibek]

Локальные политики безопасности - Назначение прав пользователя, параметр "Овладевание файлами или иными объектами". Там указываются аккаунты или группы, которые могут становиться владельцами в обход разрешений, по умолчанию там "Администраторы". Если эту группу удалить из списка, то админ не сможет стать владельцем объекта, если настоящий владелец не дал на это права.

[vvs_adm]

Локальные политики безопасности - Назначение прав пользователя, параметр "Овладевание файлами или иными объектами". Там указываются аккаунты или группы, которые могут становиться владельцами в обход разрешений, теперь там нет "Администраторов". Если эту группу добавить в список, то нам (админам) абсолютно пофигу, кто там не сможет стать владельцем объекта, если настоящий владелец не дал на это права. Как ты админу запретишь добавить себя в "Овладевание всем и вся" (порнуха какая-то получилась)

[alibek]

Объясняю еще раз, это локальные политики безопасности. Есть еще глобальные (доменные), если используется домен. И изменять глобальные может только домен-админ. А локальный админ необязательно бывает домен-админом.

[alibek]

P.S. Кроме того, есть масса способов "низвести" админа практически до положения рядового пользователя.

[tyomitch]

alibek, раз уж тема поднялась - просвети меня по двум вопросам:
-можно ли на уровне объекта разрешить/запретить овладение им администратором?
Т.е., например, на диске C: пусть овладевает чем хочет, а на диске D: пусть не может.
Так можно?
-WinNT поддерживает только одноуровневую структуру "домен-компьютер", или бывают поддомены? Если бывают, то насколько глубокой м.б. такая структура?

[vvs_adm]

Ну так извините, причем тута домен? При наличии домена администратор компьютера, как бы так выразиться получше, не является тем администратором, про которого говорилось "Админ на все имеет право. Выше админа никого нету" Тока предлагаю обсуждение прекратить, потому что я и так прекрасно все знаю, и ты прекрасно все знаешь, просто мы про разные вещи говорим

[alibek]

tyomitch, нет, выборочно нельзя. Или везде, или нигде.
Но можно запретить это в политиках, а в свойствах объекта диска C: разрешить админам право становиться владельцами (можно с командной строки ввести: cacls c:\* /t /e /c /g administrators:f , только не забудь ключ /E!)

WinNT4 поддерживает только одноуровневую схему, но там есть понятие доверенный домен и доверяемый домен. С их помощью можно в какой-то степени эмулировать иерархию.
W2k и выше поддерживает полноценную иерархию. Глубину точно не скажу, но много.

vvs_adm, мы все прекрасно понимаем, что домен и рабочая группа вещи разные. Но надо же оговорить все моменты

[alibek]

tyomitch, или другое решение - запретить, но диск C: сделать FAT

[vvs_adm]

tyomitch, или другое решение - запретить, но диск C: сделать FAT

Это не решение, это самоубийство ...

[KDima]

vvs_adm

Ответ найден
Левый клик по твоей проге -> Запуск от имени...

Вводим логин и пасс админа.
Прога имеет доступ.

[tyomitch]

vvs_adm, мы все прекрасно понимаем, что домен и рабочая группа вещи разные. Но надо же оговорить все моменты

Объясните тогда это ещё и мне. Я понимаю так, что домен - это рабочая группа + групповые политики, это верно?

[Ennor]

Ммм. В принципе, рабочая группа - понятие весьма абстрактное, это почти что stand-alone машины, с точки зрения прав и политик их применения. По крайней мере, сколько я и ни совмещал в одной рабочей группе серверов с совершенно разными настройками, они еще ни разу не начинали действовать друг на друга .

В домене же появляется сразу довольно много всего - тут тебе и AD, и доменные политики, и междоменный траст, и т.д. Но применительно в правилам и политикам... Скажем так, локальные политики просто по своей сути таковы, что затрагивают исключительно localhost. А доменные - наоборот, именно сетевое взаимодействие машин и пользователей. Как именно они называются - это пусть вспоминают те, кто это помнят . Но основной принцип заключается в том, что локальные политики практ. не затрагивают межмашинное взаимодействие, а доменные - наоборот.

[alibek]

tyomitch, нет, не так.
Отличий много, но самое принципиальное - единая БД учетных записей и централизованное управление всем.

Ennor, я тебя чуть поправлю Доменные политики очень даже запросто могут влиять на конкретную машину Они перекрывают действия локальных политик.